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Aufklärung der Datenschutzaffäre bei der Deutschen Bahn AG 


Vorbemerkung der Fragesteller 

Unter dem Vorstandsvorsitzenden der Deutschen Bahn AG (DB AG) Hartmut 
Mehdom „unterzog (...) die Bahn im Zuge von Korruptionsbekämpfung ihre 
Beschäftigten systematisch einer Rasterfahndung“ (stem vom 2. April 2009). 
Die Daten von mehr als 170 000 Mitarbeiterinnen und Mitarbeitern wurden 
mit Tausenden Partner-Firmen abgeglichen. Dabei gab es im Zeitraum 2000 
bis 2008 „mehrere Wellen solcher Screenings - ohne Wissen von Belegschaft 
und Betriebsrat“ (WELT KOMPAKT vom 26. März 2009). Der größte Teil 
dieser Ausspähaktionen wurde von dem Unternehmen Network Deutschland 
GmbH durchgefuhrt, das lediglich auf Basis von mündlichen Vereinbarungen 
aktiv war (Bericht des Berliner Beauftragten für Datenschutz und Informa- 
tionsfreiheit vom 28. Oktober 2008). 

Es ging bei den verschiedenen Bespitzelungen in einigen Fällen auch darum, 
Kritiker der Bahnprivatisierung zu identifizieren. ,Bei der Aktion „leakage“ 
wollten die konzemintemen Sicherheitsleute wissen, ob Bahnmitarbeiter Jour- 
nalisten oder Kritiker des geplanten Bahnbörsengangs mit Informationen ver- 
sorgten (...). Von März 2005 bis Oktober 2008 wurden täglich rund 145 000 
Mails automatisch auf bestimmte Adressaten hin kontrolliert. Eine elektroni- 
sche Streikinfo der Gewerkschaft Deutscher Lokomotivführer (GDL) fischte 
das Unternehmen aus dem Verkehr.“ (stem vom 2. April 2009). Im Mai 2009 
wurde bekannt, dass die Bahn im gleichen Zeitraum mindestens 1,3 Mio. Euro 
für versteckte Werbung zugunsten des Bahnbörsengangs in Medien, für Blogs 
und Intemetforen ausgab. In diesem Zusammenhang wurde durch die von der 
DB AG bezahlte Agentur EPPA die Website „meinebahndeinebahn.de“ auf- 
gebaut, die sich als Bürgerinitiative für die Bahnprivatisiemng und faktisch als 
börsenfreundliches Gegenstück zur Website www.deinebahn.de der Kritike- 
rinnen und Kritiker des Bahnbörsengangs, dem Bündnis „Bahn für Alle“, aus- 
gab (ap vom 28. Mai 2009). 

Die letztgenannten manipulativen Maßnahmen waren — so Bahnchef Dr. Rüdiger 
Grabe - „mit dem Grundsatz eines transparenten (...) Dialogs mit der Öffent- 
lichkeit in keiner Weise vereinbar“ (ap vom 28. Mai 2009). Die zuvor skizzierten 
Ausspähaktivitäten waren offensichtlich gesetzeswidrig. Die Verantwortlichen 
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bei der DB AG waren sich dessen bewusst und versuchten Belege zu vernichten: 
,Im Verkehrsausschuss des Bundestages erklärten KPMG-Sonderermittler, dass 
Wolfgang Schaupensteiner (Anm.: der damalige Korruptionsbeauftragte der 
DB AG) (...) am 20. Januar (2009) die Vernichtung der „Ereignisdatenbank 
Ermittlungen“ angeordnet (habe), in der seit 2001 alle Fälle von Verstößen ge- 
gen Untemehmensrichtlinien erfasst wurden. ‘ (Stuttgarter Zeitung vom 29. Mai 
2009). 

Da der damalige Vorstand der Deutschen Bahn AG nicht gewillt war, die er- 
forderliche Aufklärung zu organisieren, entzog der Aufsichtsrat des Konzerns 
am 18. Februar 2009 dem Vorstand diese Aufgabe und beschloss eine Sonder- 
ermittlung unter Führung des Aufsichtsrats, ausgeführt durch die Wirtschafts- 
prüfungsgesellschaft KPMG AG sowie die beiden ehemaligen Bundesminis- 
ter und Juristen Gerhart R. Baum und Prof. Dr. Herta Däubler-Gmelin. Ende 
März 2009 trat Hartmut Mehdom als Folge der Datenaffäre als Vorstandsvor- 
sitzender der DB AG zurück. 

Am 13. Mai 2009 stellte der Aufsichtsrat die Empfehlungen der Sonderennitt- 
1er zur Abstimmung. Unter anderem wurde dabei beschlossen, dass der neue 
Vorstand in Verantwortung des Vorstandsvorsitzenden Dr. Rüdiger Grube die 
umfassende und vollständige Aufklärung aller Aspekte der Affäre übernimmt 
und abschließt. Die Sonderermittler hatten mitgeteilt, dass sie zum Stichtag 
der Berichtsabfassung sehr viele Unterlagen noch nicht gesehen hatten. Im 
Ausschuss für Verkehr, Bau und Stadtentwicklung des Deutschen Bundes- 
tages konstatierte der neue Bahnchef Dr. Rüdiger Gmbe am 20. Mai 2009, dass 
noch viele Unterlagen ungesichtet sind und dringend weiterer Aufklärungs- 
bedarfbesteht. Auf der Sitzung desselben Ausschusses vom 24. Februar 2010 
äußerte Dr. Rüdiger Grube die Hoffnung, dass die Untersuchungen in der Da- 
tenaffäre „möglichst schnell abgeschlossen werden“. 


1 . Betrachtet die Bundesregierung die Datenaffäre bei der Deutschen Bahn AG 
als vollständig aufgeklärt und aufgearbeitet (Begründung)? 

Die Bundesregierung betrachtet die Datenaffäre bei der Deutschen Bahn AG 
durch die vom Aufsichtsrat beauftragte Sonderuntersuchung der KPMG sowie 
der Rechtsanwälte Prof. Dr. Herta Däubler-Gmelin und bäum reiter & collegen 
und die weiteren in diesem Zusammenhang durchgeführten Untersuchungen 
als aufgearbeitet. Der Vorstand der DB AG hat die notwendigen organisatori- 
schen und personellen Konsequenzen aus den Feststellungen gezogen. Die 
staatsanwaltschaftlichen Ermittlungen zur Datenaffäre sind noch nicht abge- 
schlossen. 

2. Was hat die Bundesregiemng, vermittelt über ihre Vertreter im Aufsichts- 
rat, getan, um sicherzustellen, dass der Vorstand und der Aufsichtsrat die 
Beschlüsse vom 13. Mai 2009 nach weiterer Aufklärung in der Ausspäh- 
affäre umsetzen? 

3. Wann hat sich der Aufsichtsrat der Deutschen Bahn AG nach dem 13. Mai 
2009 mit der Aufarbeitung und den Konsequenzen aus der Datenaffäre 
befasst? 

Die Fragen 2 und 3 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Der Aufsichtsrat der DB AG und insbesondere der Prüfungs- und Compliance- 
ausschuss des Aufsichtsrates der DB AG haben sich auch nach dem 13. Mai 
2009 mehrfach mit der Umsetzung seiner Beschlüsse befasst. Damit haben 
auch die Bundesvertreter ihre aktienrechtlichen Überwachungs- und Kontroll- 
befugnisse vollumfänglich wahrgenommen. 
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Die Einzelheiten unterliegen der Verschwiegenheitspflicht nach den §§ 116, 93 
des Aktiengesetzes (AktG). 


4. Wer hat auf Grundlage welcher Erkenntnisse geprüft, ob einzelne Mit- 
glieder des alten Vorstandes schadensersatzpflichtig sind, und wem gegen- 
über wurde in welcher Höhe der Schadensersatzpflicht nachgekommen? 

5. Ist die Aussage von Gerd Becht, Vorstandsmitglied der Deutschen Bahn 
AG in der Zeitung „DER TAGESSPIEGEL“ vom 25. Mai 2010, dass es 
keinen Beleg dafür gäbe, dass sich der Vorstand etwas zuschulden hätte 
kommen lassen, so zu verstehen, dass die Prüfung der Schadensersatz- 
haftung des alten Vorstandes abgeschlossen ist? 

Wenn ja, warum wird dies vor dem Hintergrund noch laufender Ermittlun- 
gen (ebd.) so gesehen? 

Wenn nein, wann ist mit einer abschließenden Bewertung zu rechnen? 

Die Fragen 4 und 5 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Der Aufsichtsrat der DB AG hat in seiner Sitzung am 13. Mai 2009 die PwC 
AG Wirtschaftsprüfungsgesellschaft, Berlin (PwC) mit der Durchführang einer 
externen Prüfung zur möglichen aktienrechtlichen Verantwortung des Vor- 
standes wegen Vernachlässigung der Pflicht zur Gewährleistung der Rechts- 
konformität im Zeitraum vom 1. Januar 1995 bis 9. Februar 2009 gemäß § 93 
AktG beauftragt. Die PwC ist in ihrem diesbezüglichen Schlussbericht zu dem 
Ergebnis gekommen, dass ein Verschulden der heutigen oder ehemaligen Vor- 
standsmitglieder nicht festgestellt werden könne. 

Am 9. September 2009 hat der Aufsichtsrat der DB AG abschließend festge- 
stellt, dass auf der Basis des Schlussberichts der PwC keine rechtlichen Schritte 
in dieser Angelegenheit gegenüber heutigen oder ehemaligen Mitgliedern des 
Vorstandes zu ergreifen seien. 


6. Fühlt sich der im April 2010 neu bestimmte Aufsichtsrat der Deutschen 
Bahn AG der vollständigen Aufklämng der Datenaffäre verpflichtet, und 
welche Schritte hat er dazu bislang unternommen? 

Der im März 2010 neu gewählte Aufsichtsrat wird dem Thema Datenschutz 
auch weiterhin einen hohen Stellenwert einräumen. 


7. Gibt es Aussagen des neuen Aufsichtsratsvorsitzenden, welche Schritte er 
in dieser Angelegenheit zu unternehmen gedenkt? 

Der neue Aufsichtsratsvorsitzende hat auch öffentlich mehrfach darauf hin- 
gewiesen, dass er den Themen Datenschutz und Compliance sehr hohe Be- 
deutung beimisst. 


8. Welche Ermittlungen in welchen konkreten Verdachtsfällen laufen derzeit 
noch (siehe Interview mit dem Bahnvorstandsmitglied Gerd Becht in der 
Zeitung DER TAGESSPIEGEL vom 25. Mai 2010)? 

Die Staatsanwaltschaft Berlin führt im Zusammenhang mit der Datenaffäre ein 
Ermittlungsverfahren. Der Flinweis im Interview bezog sich auf ein damit in 
keinem Zusammenhang stehendes Ermittlungsverfahren der Staatsanwaltschaft 
Frankfurt am Main. 
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9. Werden die Ergebnisse der Aufarbeitung der Datenaffäre bei der Deut- 
schen Bahn AG in einem Endbericht öffentlich gemacht analog zu den 
Zwischenberichten vom Mai 2009 (Begründung)? 

Die Ergebnisse der DatenafFäre wurden am 13. Mai 2009 den Aufsichtsräten 
der DB AG und der DB Mobility Logistics AG vorgestellt. Hierbei handelte es 
sich bereits um den Abschlussbericht. 


10. Wann hat die Deutsche Bahn AG das vom Berliner Beauftragten für 
Datenschutz und Infonnationsfreiheit verhängte Bußgeld in Höhe von 
1,1 Mio. Euro bezahlt? 

Die DB AG hat das verhängte Bußgeld im November 2009 bezahlt. 


1 1 . Laufen weitere Ermittlungen des Berliner Beauftragten für Datenschutz 
und Informationsfreiheit und/oder des Bundesbeauftragten für den Daten- 
schutz und die Informationsfreiheit, und wenn ja, welche? 

Das Verfahren des Berliner Datenschutzbeauftragten ist abgeschlossen. Das 
Verfahren des Bundesdatenschutzbeauftragten ist noch nicht abgeschlossen. 


12. ln welchen Fällen ermitteln die Sonderermittler der KPMG AG derzeit? 

Sonderermittlungen der KPMG im Zusammenhang mit der Datenaffäre finden 
nicht mehr statt. Die KPMG unterstützt die DB AG aktuell bei der Unter- 
suchung eines Korruptionsverdachts, der in keinem Zusammenhang mit der 
Datenaffäre steht. 


13. Führen auch die beiden Anwälte Gerhart R. Baum und Prof. Dr. Herta 
Däubler-Gmelin weitere Ennittlungen durch? 

Wenn ja, bis wann voraussichtlich? 

Wenn nein, warm endete das Mandat? 

Nein. Mit der Einreichung des Abschlussberichts im Mai 2009 endete das Man- 
dat. 


14. Auf der Basis welcher Beschlüsse oder Vereinbarungen haben die Sonder- 
ennittler seit Mai 2009 weitere Ermittlungen durchgeführt? 

Nach dem Mai 2009 haben die Sonderermittler im Zusammenhang mit der Da- 
tenaffäre keine Ermittlungen mehr durchgeführt. Sie haben die DB AG aller- 
dings bei der Aufarbeitung der Ermittlungsergebnisse unterstützt. 


15. Haben die Sonderermittler nach dem Mai 2009 von weiteren „Über- 
wachungsmethoden“ im Prüfungszeitraum ab 1995 bei der Deutschen 
Bahn AG erfahren? 

Im Nachgang zu einem „SPIEGEL“-Bericht im Januar 2010 (Ausgabe 02/10) 
hat die DB AG mit den Sonderermittlern über die Relevanz einer einmaligen 
daktyloskopischen Untersuchung (d. h. mit einem Verfahren zur Feststellung 
von Fingerabdrücken) diskutiert. 
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16. Hat der neue Vorstand der Deutschen Bahn AG einen umfassenden Über- 
blick über sämtliche die Datenaffäre betreffenden Unterlagen in Papier- 
und elektronischer Form? 

Der Vorstand hat einen umfassenden Überblick über die wesentlichen Ergeb- 
nisse der Ermittlungen. 


17. Haben die Sonderemiittler sämtliche die Datenaffäre betreffenden Unter- 
lagen - in Papier- und elektronischer Form - zur Bewertung eingesehen? 

18. Um welche Quantität von relevanten Unterlagen handelt es sich? 

Die Fragen 17 und 18 werden wegen ihres Sachzusammenhangs gemeinsam 
beantwortet. 

Die Sonderermittler haben auf der Grundlage ihres Aufklärungsauftrages der 
DB AG aufgegeben, welche Dokumente für die Ermittlungen benötigt werden. 
Anhand dieser Anforderungen hat die DB AG alle Dokumente zur Verfügung 
gestellt. Dabei handelte es sich um Millionen Seiten in Papier- und elektro- 
nischer Form. 


19. Ist gesichert, dass zwischenzeitlich alle Unterlagen (Personalakten, Ver- 
fahrensakten, Disziplinarakten etc.), die mit illegal erhobenen Daten ver- 
sehen waren, um diese Daten „bereinigt“ sind? 

Wenn ja, wer hat die Bereinigung und Löschung vorgenommen? 

Wenn nein, warum nicht? 

Auf Veranlassung des Vorstands der DB AG wurde im vergangenen Jahr eine 
sog. Datenquarantäne eingerichtet. Der Konzemdatenschutzbeauftragte, dem 
als Vertrauensperson der Mitarbeiter und als neutrale Instanz das Thema über- 
antwortet worden war, hat mit der KPMG ein entsprechendes Projekt aufge- 
setzt und mit dem Datenschutzbeauftragten des Landes Berlin, Dr. Alexander 
Dix, abgestimmt. Im Rahmen dieses Projektes wurden alle unzulässig erhobe- 
nen Daten sowie alle zulässig erhobenen, aber nicht mehr benötigten, Daten in 
eine sichere Datenquarantäne verbracht. Zur Wahrung der Interessen Betroffe- 
ner wurden die genannten Daten dem Zugriff der DB AG entzogen. 

Auf Wunsch der Staatsanwaltschaft Berlin wurde bislang auf eine endgültige 
Löschung verzichtet. 


20. Ist die Information zutreffend, dass es bei der Deutschen Bahn AG einen 
Datenquarantäneraum gibt, und wenn ja, wie ist er gesichert, und wel- 
chen Zweck erfüllt er? 

21. Welche und wie viele Unterlagen, Akten und elektronische Daten, wer- 
den in diesem Quarantäneraum gelagert? 

22. Wer kennt den genauen Inhalt und die genaue Menge der erfassten Unter- 
lagen in dem Datenquarantäneraum, und gibt es für diesen ein detaillier- 
tes Verzeichnis? 

23. Ist der zuständige Berliner Beauftragte für Datenschutz und Informa- 
tionsfreiheit über den genauen Bestand des Quarantäneraums informiert? 

24. Sind die Sonderermittler über den Datenquarantäneraum informiert, und 
haben diese sämtliche in diesem Raum befindlichen Unterlagen durch- 
sehen können? 
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25. Existiert ein Verzeichnis, wer, wann und mit wem den Datenquarantäne- 
raum betritt, um Akten herein- und herauszunehmen? 

Die Fragen 20 bis 25 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Es existieren mehrere sog. Quarantäneräume für Unterlagen in Papierform, 
die verschlossen und versiegelt sind. Weiterhin gibt es einen Quarantäneserver 
für elektronische Daten mit einem sicheren Zugriffskonzept. Alle Datenquaran- 
täneräume sind mit Siegeln der KPMG gesichert, die Schlüssel werden von 
namentlich bekannten Mitarbeitern verwahrt. Ein Verzeichnis über den Zutritt 
wird geführt. Die KPMG führt ein vollständiges Verzeichnis der Siegel und de- 
ren Verwendung. 

Aus datenschutzrechtlichen Gründen ist darauf verzichtet worden, ein Inhalts- 
verzeichnis der eingelieferten Daten und Unterlagen zu führen. 

Auf Wunsch der Staatsanwaltschaft Berlin wurde bislang auf eine endgültige 
Löschung verzichtet, um etwaige Beweismittel nicht vor Beendigung der dorti- 
gen Ermittlungen zu vernichten. 

Das Gesamtkonzept der Datenquarantäne wurde mit dem Konzerndatenschutz- 
beauftragten und dem Datenschutzbeauftragten des Landes Berlin, Dr. Alexander 
Dix, sowie mit der KPMG abgestimmt. 

Eine eigene Durchsichtsmöglichkeit für die Sonderermittler bestand nicht. Die 
Sonderermittler waren jedoch über Existenz und Funktion des Datenquaran- 
täneraums informiert. Insbesondere war die KPMG bei der Einrichtung ein- 
bezogen. 


26. Gibt es inzwischen nähere Erkenntnisse über das Abhören von Mitarbei- 
tern der Deutschen Bahn AG, die Dr. Rüdiger Grube in der Sitzung des 
Ausschusses für Verkehr, Bau und Stadtentwicklung am 24. Februar 2010 
weiterhin „nicht ausschließen“ konnte? 

27. Welcher Art sind diese Erkermtnisse ggf. (z. B. Zeitraum, Umfang)? 

Die Fragen 26 und 27 werden wegen ihres Sachzusammenhangs gemeinsam 
beantwortet. 

Erkenntnisse über das Abhören von Mitarbeitern liegen nicht vor. 


28. Ist es zutreffend, dass bei einzelnen Unternehmen der Deutschen Bahn 
AG „seit Mitte der neunziger Jahre fortlaufend Krankheitsdiagnosen von 
Mitarbeitern in EDV-Systemen erfasst wurden“ (Süddeutsche Zeitung 
vom 19. März 2010), und wenn ja, bei wie vielen Mitarbeitern wurden 
solche Daten erfasst, um welche Unternehmen handelt es sich, und auf 
welchen Wegen sind die Unternehmen an die Krankheitsdiagnosen ge- 
langt? 

Nach Bekanntwerden der systematischen Vorgehensweise zur Erfassung von 
krankheitsbezogenen Daten in der DB Sicherheit GmbH fanden im August 
2009 Ad-hoc-Revisionen in 28 Konzerngesellschaften aller Vorstandsressorts 
der DB AG statt. Ergebnis war, dass in allen geprüften Gesellschaften keine mit 
den Vorgängen bei der DB Sicherheit GmbH vergleichbaren Unregelmäßig- 
keiten festzustellen waren. 
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29. Wurden diese Diagnosedaten inzwischen in allen relevanten Personal- 
akten und sonstigen Systemen gelöscht respektive geschwärzt? 

30. Wer hat diese Löschungen ggf. wann veranlasst und durchgeführt? 

Die Fragen 29 und 30 werden wegen ihres Sachzusammenhangs gemeinsam 
beantwortet. 

Die Löschung bzw. Schwärzung von Diagnosedaten in Personalakten oder 
sonstigen Systemen ist in den überprüften Konzemgesellschaften durch die zu- 
ständigen Personalabteilungen bis Ende des ersten Quartals 2010 abgeschlos- 
sen worden. 


3 1 . Wurden alle von der Datenaffäre Betroffenen über den Bestand von sie 
betreffenden, unrechtmäßig erhobenen personenbezogenen Daten infor- 
miert? 

Wenn ja, auf welche Weise, und in welchem Umfang? 

Wenn nein, warum nicht? 

32. Wurden alle diejenigen, die von unrechtmäßigen Maßnahmen betroffen 
waren und über die Dokumente im Quarantäneraum vorliegen, hierüber 
informiert? 

Wenn ja, von wem, und auf welche Weise? 

Wenn nein, warum nicht? 

33. Wie viele Personen waren außer bei den Screenings insgesamt von be- 
sonderen unrechtmäßigen Einzelüberwachungsmethoden betroffen? 

34. Wie viele betroffene Mitarbeiterinnen und Mitarbeiter haben sich bei den 
Sonderermittlem gemeldet, damit ihre jeweiligen Einzelfalle aufgearbei- 
tet werden? 

Die Fragen 31 bis 34 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Eine belastbare Aussage über die Anzahl der Betroffenen wurde im Rahmen 
der Ermittlungen nicht festgestellt. 

Die den Sonderermittlem, d. h. der KPMG sowie den Rechtsanwälten Gerhart 
R. Baum und Prof. Dr. Flerta Däubler-Gmelin bekannten, von der Datenafifäre 
betroffenen Personen wurden im Zeitraum von April bis Juni 2009 mit per- 
sönlichen Schreiben sowohl der Sonderermittler als auch des Vorstandsvor- 
sitzenden, Dr. Rüdiger Gmbe, kontaktiert. Dabei handelte es sich um 635 Mit- 
arbeiterinnen und Mitarbeiter. In diesen Schreiben wurden die Betroffenen da- 
rüber informiert, dass die Ermittler im Zuge der Untersuchungen der bekannt 
gewordenen Screeningaktionen auf die Namen der Betroffenen gestoßen seien. 
Von den 635 angesprochenen Mitarbeitern haben 350 das Angebot zur gemein- 
samen Aufarbeitung angenommen. 


35. An wie viele Betroffene wurden Entschädigungen gezahlt, und in welcher 
Gesamthöhe? 

In einzelnen Fällen wurden verschiedene Maßnahmen zur Wiedergutmachung 
eingeleitet und durchgeführt, ln allen bekannten Fällen erfolgte eine persön- 
liche Entschuldigung des Vorstandsvorsitzenden der DB AG. Entschädigung in 
Geldform wurde in einem Fall gezahlt. Die Flöhe der Zahlung unterliegt der 
Vertraulichkeit. 
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36. Hat der neue Vorstand oder haben die Sonderermittler Verantwortliche 
für die Datenverstöße respektive Rechtsverstöße identifizieren können, 
und wurden diesen gegenüber Schadenersatzforderungen geltend ge- 
macht? 

Wenn ja, gegenüber wie vielen Personen, und in welcher Höhe? 

Wenn nein, warum nicht? 

37. Gegen wie viele Verantwortliche hat die Deutsche Bahn AG Strafanzeige 
gestellt, und in welchem Verfahrens stand befinden sich diese ggf? 

38. Gegen wie viele Verantwortliche wurde von anderer Seite Strafanzeige 
gestellt, wie viele wurden davon durch die zuständigen Datenschutz- 
beauftragten und wie viele durch Mitarbeiter der Deutschen Bahn AG 
veranlasst, und in welchem Verfahrensstand befinden sich diese ggf? 

Die Fragen 36 bis 38 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Der Aufsichtsrat der DB AG hat am 9. September 2009 abschließend fest- 
gestellt, dass auf Basis des Schlussberichts der PwC keine rechtlichen Schritte 
in dieser Angelegenheit gegenüber heutigen oder ehemaligen Mitgliedern des 
Vorstandes zu ergreifen seien. 

Neben der nahezu vollständigen Auswechslung des Vorstands hat sich die 
DB AG von einigen Managern und Mitarbeitern unterhalb der Ebene des Vor- 
stands durch die Vereinbarang von Aufhebungsverträgen bzw. Kündigungen 
getrennt. Die DB AG hat sich dabei die Geltendmachung von Schadensersatz- 
ansprüchen explizit Vorbehalten. 

Der Vorstand der DB AG hat im Anschluss an die Sonderuntersuchung ein Gut- 
achten beauftragt, welche weiteren Maßnahmen zu ergreifen wären, insbeson- 
dere die Stellung von Strafanträgen und Strafanzeigen. Entsprechend der Emp- 
fehlung des Gutachtens hat die DB AG den Sachverhalt der Staatsanwaltschaft 
umfassend vorgelegt und Strafanzeige sowie Strafanträge gestellt. Die staats- 
anwaltschaftlichen Ermittlungen sind noch nicht abgeschlossen. Soweit be- 
kannt, wurden auch von dritter Seite Strafanzeigen gestellt. 


39. Wie ist der Hinweis zu der neuen Datenschutzbeauftragten der Deutschen 
Bahn AG Chris Newiger zu verstehen: „Wenn künftig etwas schiefiäuft 
beim Datenschutz, trägt sie die Verantwortung. Gmbe ist dann fein raus.“ 
(FINANCIAL TIMES DEUTSCHLAND vom 23. März 2010)? 

Dies ist keine Aussage der Konzerndatenschutzbeauftragten. Vielmehr handelt 
es sich um eine wertende Schlussfolgerung des Journalisten der „FINANCIAL 
TIMES DEUTSCHLAND“. 


40. Wamm soll die neue wirksame Konzembetriebsvereinbarung zum Schutz 
der Persönlichkeitsrechte der Mitarbeiterinnen und Mitarbeiter des DB 
Konzerns zum Arbeitnehmerdatenschutz erst im Herbst 2010 abgeschlos- 
sen werden (siehe DER TAGESSPIEGEL vom 25. Mai 2010)? 

4L Wird diese für die Nutzung sämtlicher Informationstechnik (wie BKU- 
Rechner, E-Mail-Accounts etc.) gelten (Begründung)? 
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42. Welche Aspekte sind im Eckpunktepapier zum Arbeitnehmerdatenschutz 
zwischen der Deutschen Bahn AG und Arbeitnehmervertretem benannt, 
und wann wurden diese vereinbart? 

Die Fragen 40 bis 42 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Die Grundsätze zum Beschäftigtendatenschutz sind in der Vereinbarung zu 
Eckpunkten für einen Arbeitnehmerdatenschutz im DB AG-Konzern vom 
24. November 2009 dargelegt. Diese hat der Vorstand der DB AG am 24. No- 
vember 2009 mit dem Konzernbetriebsrat abgeschlossen. Die Vereinbarung hat 
die Wirkung einer Konzernbetriebsvereinbarung und beinhaltet die Verpflich- 
tung des Konzerns zu den wesentlichen Bereichen des Beschäftigtendaten- 
schutzes. 

Das derzeit noch in Verhandlung befindliche Gesamtregelungswerk der Kon- 
zembetriebsvereinbarung Arbeitnehmerdatenschutz für die Beschäftigtendaten 
in sämtlicher Informationstechnik wird hinsichtlich der Detailregelungen im 
Herbst 2010 vollständig abgeschlossen sein. 

Das bereits vorliegende Eckpunktepapier legt die Konzerngrundsätze zum 
Arbeitnehmerdatenschutz für die als nächsten Schritt abzuschließende Kon- 
zembetriebsvereinbarung fest und gilt bis zu deren Inkrafttreten. Es regelt eine 
Vielzahl von Punkten, insbesondere die Voraussetzungen und Modalitäten der 
Erhebung und des Umgangs mit personenbezogenen Daten von Beschäftigten 
und Bewerbern. Diese Regelungen werden auch durch organisatorische Vor- 
kehrungen, Beteiligungsrechte der Arbeitnehmervertretungen sowie Maß- 
nahmen zur Datensicherung im Rahmen der elektronischen Datenverarbeitung 
flankiert. 


43. Wurde bereits ein neues Ombudssystem oder ein vergleichbares System 
bei der Deutschen Bahn AG eingerichtet? 

Wenn nein, warum nicht? 

Wenn ja, inwiefern sind diese Systeme neu oder wie wurden die Erfah- 
rungen aus den Datenmissbräuchen bei der Konzeption, Struktur und 
sonstigen Ausgestaltung berücksichtigt und umgesetzt? 

Die DB AG hat in der Folge der Datenaffäre den Vorschlägen der Sonderunter- 
suchung folgend ein neues Vorstandsressort Compliance, Datenschutz und 
Recht geschaffen. Dabei wurden insbesondere die Bereiche Datenschutz und 
Compliance sowie der Umgang mit Hinweisen auf Rechtsverstöße völlig neu 
geordnet und personell verstärkt. Ein Teil der Neuausrichtung ist ein neues Hin- 
weismanagementsystem, in das auch ein Ombudssystem eingebunden ist. 


44. Wurde ein neues Compliance-System implementiert? 

Wenn nein, warum nicht? 

Wenn ja, inwiefern sind diese Systeme neu oder wie wurden die Erfah- 
rungen aus den Datenmissbräuchen bei der Konzeption, Struktur und 
sonstigen Ausgestaltung berücksichtigt und umgesetzt? 

Der DB AG-Konzern hat als Konsequenz aus der DatenafFäre und aufgrund der 
Empfehlungen der Sonderermittler insbesondere zahlreiche organisatorische 
Maßnahmen umgesetzt, darunter z. B. folgende: 

— Einrichtung und Besetzung eines Vörstandsressorts Compliance, Daten- 
schutz und Recht; 
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— Erweiterung des Prüfungsausschusses des Aufsichtsrats der DB AG zum 
Prüfungs- und Complianceausschuss; 

— Einrichtung eines Konzerndatenschutzbeirates, die erste Tagung des Gre- 
miums erfolgte im Mai 2010; 

— Aufbau eines dezentralen Compliance Management Systems mit weltweit 
verankerten Compliance Officers, die lokal vor Ort als erste Ansprech- 
partner zum Thema Compliance fungieren sollen und Teil des Compliance 
Reporting Systems sind, Auswahl und Ernennung der Compliance Officer 
sind eingeleitet; 

— Aufbau eines dezentralen Datenschutz Management Systems. 


45. Gehört die Einrichtung eines Systems oder Verfahrens des „Whistle- 
blowings“ zu einer der umgesetzten Erfahrungen bzw. ist dieses vorge- 
sehen? 

Auch für die Zukunft ist ein Hinweismanagement vorgesehen. Es befindet sich 
derzeit noch in Abstimmung mit dem Konzernbetriebsrat und wird daten- 
schutzrechtliche Belange mit einer besonderen Sensibilität berücksichtigen. 


46. ln welchen Abteilungen haben warm wie viele Fortbildungen zu recht- 
lichen Grundlagen und betrieblicher Praxis des Datenschutzes stattgefun- 
den? 

Die o. g. Eckpunktevereinbarung zum Arbeitnehmerdatenschutz im DB AG- 
Konzem vom 24. November 2009 wurde allen leitenden Angestellten des 
DB AG-Konzerns zugesandt, um diese für die Einhaltung des Datenschutzes zu 
sensibilisieren. 

Durch den Konzembetriebsrat wurde die Eckpunktevereinbarung allen Be- 
triebsräten des DB AG-Konzems zur Verfügung gestellt. Arbeitgeber- und Ar- 
beitnehmerseite führten am 2. Dezember 2009 ergänzend eine gemeinsame 
Fachkonferenz zum Thema „Konsequenzen aus der Datenschutzaffäre - Miss- 
brauch künftig ausgeschlossen?“ durch, um den Auftakt für die Informations- 
kampagne der Führungskräfte und Betriebsräte zu bilden. 

Seit Juni 2009 sind 34 Schulungen/Fortbildungsmaßnahmen durchgeführt wor- 
den. Zielgruppen waren insbesondere Funktionen, die als Multiplikator tätig 
werden: Ansprechpartner Datenschutz, Personalleiter, Geschäftsführer, Regio- 
nalleiter, Abteilungsleiter, Führungskräfte, Teamleiter, Ausbildungsleiter, Pro- 
jektleiter, IT-Manager sowie Auszubildende. 
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